Trojan.Win32.GOLDENSPY.YPAH-B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\wmiasssrv.dll (Responsible for writing service and dropping INF file)
• {File path of parent process}\bmsmam.inf (Responsible for installing the service through UAC bypass technique, deleted afterwards)
• {File path of parent process}\wmsma.inf (Responsible for installing the service through UAC bypass technique, deleted afterwards)
• %System%\ms{Random characters}s{Random digits}.dat (Responsible for download mechanism)

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• C:\_skplog
• %System%\_skplog

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、以下のサービスを開始します。

• Service name: WMPAssis
  Service DLL: %System%\ms{Random characters}s{Random digits}.dat

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• {Chosen domain from list of domains}/{Chosen route from set of routes}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• Chosen path among the following paths:
  • {Value for environment variable %ALLUSERPROFILE%}\taxver.exe
  • {Value for environment variable %COMMONPROGRAMFILES%}\taxver.exe
  • {Value for environment variable %WINDIR%}\debug\wia\taxver.exe
  • {Value for environment variable %WINDIR%}\system32\taxver.exe
  • {Value for environment variable %WINDIR%}\taxver.exe
  • {Value for environment variable %WINDIR%}\temp\taxver.exe

その他

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• NISEC_SKP.dll
• Zlib_Tools.dll

マルウェアは、以下を実行します。

• It installs a service with full system privileges by bypassing UAC.
• It resolves the IP address of the following domains to be used in choosing the domains, routes, and download path:
  • help.{BLOCKED}lper.ltd
  • help.{BLOCKED}sistant.com
  • help.{BLOCKED}sistant.info
• It chooses from the following list of domains:
  • info.{BLOCKED}sistant.com
  • info.{BLOCKED}sistant.info
  • info.{BLOCKED}lper.ltd
  • tip.{BLOCKED}lper.ltd
  • bbs.{BLOCKED}lper.info
  • update.{BLOCKED}lper.ltd
  • download.{BLOCKED}lper.com
  • tools.{BLOCKED}per.info
  • update.{BLOCKED}lper.com
• It chooses from the following list of routes:
  • data/tax32.zip
  • data/taxver.jpg
  • data/msabb.rar
  • data/msabs.dat
  • app/tps32.gif
  • app/taxver.jpg